CVE-2026-47101

Nome do Software Vulnerável e Versões Afetadas LiteLLM versões anteriores a 1.83.14

Descrição Um internal user autenticado pode criar chaves de API com acesso a rotas não permitidas por sua função. Isso ocorre porque o campo allowed routes é armazenado durante a geração da chave sem verificar se as rotas especificadas estão alinhadas com as permissões do usuário. Ao criar uma chave com acesso a rotas exclusivas de administrador, um usuário pode ignorar os controles de acesso baseados em função (RBAC)—um mecanismo que restringe o acesso ao sistema a usuários autorizados—resultando em escalonamento total de privilégios de internal user para proxy admin.

Recomendações Atualize para a versão 1.83.14 ou posterior.